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Beschreibung 

Die Erfindung geht von einem aktivitatsuberwachten 
Fuhlersystem aus, bei welchem zwei FOhlern eine Si- 
gnal verarbeitungseinrichtung nachgeschaltet ist Ein 
derartiges Fuhlersystem kann als interner Stand der 
TecHnik vorausgesetzt werden. 

Viele Regelanlagen arbeiten unter Zuhilfenahme van 
FQhlern vcrschiedener Typen. Beispielsweise spricht ci- 
ne automatische Flugregelanlage fQr einen Hubschrau- 
her auf Fluglage- und Kurskreisel sowie auf Hdhenmes-^ 
ser, Fliiglagewendekreisel und Beschleuhigungsmesser 
^ an, um das Mandvrieren des Flugzeuges zu regeln. Die 
Regelung des Flugzeuges. wenn eine automatische 
Flugregelanlage benutzt wird. ist deshalb von den Si^ 
gnalen abhangig, die der Flugregelanlage durch die ver- 
schiedenen Fuhler (Kreisel, Wendekreisel, Beschleuni- 
gungsmesser, usw.) geliefert werden, Wenn ein FQhler 
ausfallt, kann der Flug des Flugzeuges in unerwunschter 
Weise gestdrt werden. In einigen Fallen kann die Sto- 
ning abrupt Oder heftig sein, und in anderen Fallen kann 
die Starung allmahlich effolgen. Wenn beispielsweise 
ein Kurskreisel bei einer bestimmten Einstellung ausfal- 
len wurde, wahrend das Flugzeug auf Kurshalten einge- 
stellt ist, wurde die Auswirkung erst bemerkt werden, 
wenn eine betrachtliche Storung (wie beispielsweise ei- 
ne Windbo) auftritt, die das Flugzeug von seinem Kurs 
abdrangt, .od^r erst dann, wenn der Pilot wunscht, den 
Kurs zu andem; anderenfalls wurde das ^inzige beob- 
achtbare Ergebnis in einem langsamen Wegdriften des 
Flugzeuges von seinem gewunschten Kurs bestehen. 
Andererseits, wenn der Kurskreisel durch Lieferung ei- 
ncs maximalen Ausgangssignals ausfiele, wOrde das 
Flugzeug sofort beginnen, in enigegengesetzter Rich- 
tung zu manovrieren, da die automatische Flugregelung 
versuchen wurde, den scheinbaren Kursfehler zu korri- 
gieren. 

Irgendein FUhlerausfall in der automatischen Flugre- 
gelanlage eines Flugzeuges erfordert, daB der Pilot auf 
die Anderung in der Flugzeugmanovrierung reagiert 
und jedwede einen Fehler anzeigenden Alarmvorrich- 
tungen Qberwacht, um das fehlerhafte System abzu- 
schalten. In vielen Fallen kann das blofie Abschalten des 
fehlerhaften Systems eine umgekehrte Mandvrieraus- 
wirkung zur Folge haben (da ein groBer Fehler in einer 
Richtung sofort in einen NuUfehler umgewandelt wird 
od. dgl.). Ebenso, wenn der Pilot auf die Storung rea- 
giert, indem er fiber die ihm zur Verfugung stehenden 
Stcuervorrichtungen einen Gegenbefehl eingibt, wird 
das Abschalten des fehlerhaften Systems einen une'r- 
wUnschten Piiotenbefehl unkompensiert lassen, was ei- 
ne weitere Storung verursacht 

Zii bestimmten Zeiten, wie beispielsweise im Schwe- 
"beflug einige Meter uber dem Ozeaa kdnnen solche 
Ausfalle in einer Flugzeugregelanlage katastrophal seia 
Beispielsweise konnte der Ausfall eines RadarhShen- 
messers in einem solchen Fall bewirken, daD das Flug- 
zeug tatsSchlich die Wasseroberflache berQhrt 

Zur Oberwindung voa Schwierigkeiten mit solchen 
Fuhlem ist es bekannt (US 35 05 641, JP 53-74 595^ ein 
Paar Fuhler identischen Typs (redundante FQhler) zu 
verwenden, deren Ausgangssignale miteinander vergli- 
chen werden. wobei ein Ausfall oder ein Fehler-in dem 
Fall angezeigt wird, in wclchem.die Ausgangssignale der 
beiden Fuhler nicht mehr innerhalb einer gegenseitigen 
. Toleranzgrenze liegen. Das erfordert jedoch nicht nur 
zusatzliche Fuhler, sondern auch zusatzliche Signalver- 
arbeitungskanale fur jeden der Fuhler. Weiter gibt es 



Bedingungen, unter denen zwei Fuhler desselbcn TVps 
verfnutlich gleichzeitig ausfallen, wodurch dasselbe feh- 
lerhafte Ausgangssignal geliefert wird, so dafi sie inner- 
halb der vorgeschriebenen gegenseitigen Toleranz lie- 
5 gen und deshalb der Vergleich keine Angabe Uber den 
Ausfall eines Fflhlers liefert Ein solcher Fall kann vor- 
liegen, wenn die Staurohr-SchutzhOllen nicht vor dem 
Beginn des Fluges von den beiden Staurohren eines 
Flugzeuges entfemt werden: beide Flug- oder Luftge- 
10 schwindigkeitsfQhler wQrden dieselbe Flug- oder Luft- 
geschwindigkeit (von null) anzeigen. und es wilrde kein. 
Fehler angezeigt werden. 

Bei dem Versuch, die Hardware zu verringem, die 
durch den redundanten Vergleich erforderlich wird, und 
15 einige der Nachteile von redundanten Vergleichen zu 
beseitigen. ist bereits eine Art von FiihieraktivitatsQber- 
wachung benutzt worden. Diese intern bekannte Aktivi- 
t^tsuberwachung benutzt die Ableitung oder den Diffe- 
rentialquotienten eines Fuhlerausgangssignals und 
20 Qberpruft es, um festzustellen, ob es ein gewisses Aus- 
maO an Anderung aufweist. In. dem Fall, in welchem die 
zeitliche Anderung oder die Anderungsgeschwindigkeit 
uber der Zeit des Fuhlerausgangssignals in bezug auf 
das zulassige Flugzeugmanover in der Achse, die der 
25 Fuhler Qberwacht, iibermaOig groB wird. kann ein Feh- 
ler angezeigt werden. Es wird jedoch jedwedes uner- 
wunschte oder storende Rauschen in dem Fuhlerausr 
gangssignal aufgrund der Differenzierung des Fuhler- 
ausgangssignals verstarkt, was zu verwirrenden Fehler- 
30 anzeigen aufgrund des Rauschens fOhrt (d. h.. Anzeigen 
einer ubergroBen Anderungsgeschwindigkeit, wenn in 
Wirklichkeit keine vorhanden ist). Aus diesem Grund 
• muB die Toleranz oder Empfiridlichkeit eines solchen 
Fehlerdetektors betrachtlich verringert werden, sogar 
35 bis zu dem Punkt, wo richtige Fehler gei-ingerer GroBe 
uberhaupt nicht mehr erkennbar sind. Da viele FQhler 
bei normalen zulSssigen Mandvem (wie beispielsweise 
dem Horizontalflug bei konstantem Kurs und konstan- 
ter Geschwindigkeit an einem ruhigen Tag) betreibbar 
40 sind, konnen solche Detektoren nicht Qberwacht wer- 
den, um das Fehlen eines Minimums an Aktivitat als eine 
Fehleranzeige festzustellen, da eine Nullanzeige Qber 
relativ lange Zeitspannen zulassig ist- 

Aus der US 38 72 292 ist ein FQhlersyst em bekannt, 
45 das dem FQhlersystem gemSjB Anspruch 1 in einigen 
Merkmalen ahnelt, jedoch nicht als aktivitatsuberwach- 
tes Fuhlersystem aufgefaBt werden kann. Dieses be- 
kannte Fuhlersystem ehthait als Fuhler zwei Mikropho- 
ne. Ein Computer liefert einen gemessenen Schallpara- 
50 meter aus den Mikrophonsignalen und einen berechne- 
ten Schallparanieter aus gespeich'erten empirischen Da- 
. ten. Die beiden Schallparameter werden einem Kompa- 
rator zugefQhrt. der ein Wamsignal liefert, wenn beide 
Signale gleich sind. Bei diesem bekannten FQhlersystem 
55 dienen die Mikrophone dem Zweck, einen beginnenden 
Stromungsabrifizustand in dem Verdichter eines Trieb- 
werks festzustellen. Es sind dabei aber keine MaBnah- 
men getroffen. um laufend die Funktionsf&higkeit der 
FQhler, also der Mikrophoiie selbst zu QberprQfen. 
60 Aufgabe der Erfrndung ist es, ein aktivitatsQberwach- 
tes Fuhlersystem der eingangs genanhten Art so auszu- 
bilden, daB auf sicherere Weise urid mit hoher Empfmd- 
lichkeit ein Ausfall von FQhlern crkannt werden kann. 
Diese Aufgabe ist erfmdungsgemafl durch die im Pa- 
65 tentanspruch 1 angegebenen Merkmale geldst. 

Bei dem aktivitatsuberwachten Fuhlersystem nach 
der Erfindung wird das richtige Arbeiten von zwei FQh- 
lern festgestellt, indem die Anderungsgeschwindigkeit 
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Oder zeitUche, Anderung in deiii ersten Ftihlerausgangs- 
signal Qberwacht wird, und zwar hinsichtlich unzulMssi- 
ger Anderungsgeschwindigkeiten, wenn durch das Aus- 
gangssignal des zweiten Fiihlers angegeben wird» daQ 
sich das erste Fuhlerausgangssignal indem solite. Wei- 
ter .wird ein ^nd^rungsgeschwindigkeitsbegrenztes Si- 
gnal mit dem ersten Ausgaiigssignal verglichen, und 
wenn beide nicht ihnerhalb einer gemeinsamen Tole- 
ranzgrenze sind, wird ein Signal, welches eine unzulSssi- 
ge Anderungsgeschwindigkeit angibt, abgegeben. 

Welter kann die Aktivitftt eines bezogenen FQhlers 
als eine Anzeige benutzt werden, wenn der tiberwachte 
Fuhler ein sich ^nderndes Ausgangssignal haben soUte. 
Wenn das Ausgangssignal des uberwachten Fuhlers 
nicht wenigstens eine minimale Anderungsgeschwindig- 
keit hat. wird ein Nullfehler angezeigt 

Die Erfindung wird ^owohl als Analog- als auch als 
Digitalausfuhrungsform beschrieben, wobei die Digital- 
ausfuhrbngsform vollstandig implementiert worden ist 
und bevorzugt wird 

Die Erfindung kann ohne weiteres entweder in Ana- 
log- Oder in Digitalsystemen implementiert werden, in-' 
dem Einrichtungen und Verfahren, die im Rahmen fach- 
mannischen FConnens liegen. unter Beriicksichtigung 
der folgenden Beschreibung benutzt werden. 

Mehrere Ausfuhrungsbeispiele der Erfindung werden 
im folgenden unter Bezugnahme auf die Zeichnungen 
riaher beschrieben. Es zeigt: 

Fig. 1 ein vereinfachtes Blockschaltbild einer Analog- 
ausfdhruhgsform der Erfindung, 

Flg/2 ein vereinfachtes logisches FluOdiajgramm ei- 
ner Digitalausfuhrungsform eines Nullfehlererken- 
nungsteils der Erfindung, und 

Fig. 3 ein vereinfachtes logisches FluBdiagramm ei- 
ner Digitalausfuhrungsform eines Teils zur Erkennung 
einer unzulassigen Anderungsgeschwindigkeit gem&D 
der Erfindung. 

GemaB Fig. 1 wird die Aktivitat eines Fuhlers tO zur 
Fehlererkennung durch einen Nullfehlererkennungsteil 
11 (in der oberen Halfte von. Hg. 1) und durch einen 
Erkennungsteil zum Feststdlen einer unzullissigen. An- 
derungsgeschwindigkeit (Ober^nderungsgeschwindig- 
keitsfehlererkennungsteil) 12 (in der unteren Halfte von 
Fig. 1) aberwacht, die beide eine Signalverarbeitungs- 
einrichtung (11, 12) bilden und jeweils eine bistabile 
Fehleranzeigevorrichtung 13 uber eine. erste ODER- 
Schaltung 14 setzen konnen. Das Ausgangssignal der 
bistabilen Fehleranzeigevorrichtung 13 ist ein Fehlersi- 
gnal auf einer Leitung 15. 

Der Betrieb des Aktivit^tsOberwachungssyistems von 
Fig: 1 kann durch ein Signal auf einer Leitung 16 rQck- 
gesetzt Oder initialisiert werden, dais durch eine zweite 
ODER-Schahung 17 erzeugt wird, und zwar entweder 
auf ein manuell aktiviertes Pilotenrucksetzsignal auf ei- 
ner Leitung 18 hin oder auf ein Initialisierungssignal der 
automatischen Flugregelanlage auf einer Leitung 19 hin, 
das typischerweise erscheinen wird, wenn eine automa- 
tische Flugregelanlage zum ersten Mai eingeschaltet 
wird. Die Verwendung des Ruckisetz-ZInitialisierungssi- 
gnals auf der Leitung 16 ist im folgenden beschrieben. 
. Der Nullfehlererkennungsteil 1 1 besteht hauptsSch- 
lich aus einem Zeitgeber 20, der ein NuUfehlersignal auf 
einer Leitung 22 erzeugen wfrd, wenn ihm gestattet 
wird, seine Zeitsperre zu erreichen, bevor er durch ei- 
nen Fiihleraktivitatsdetektor 24 rQckgesetzt wird, was 
im folgenden noch nSher beschrieben ist. Dem Zeitge- 
ber 20 wird jedoch zu starten nur auf ein Signal .26 aus 
einer bistabilen Vorrichtung 27 hin gestattet, die durch 



ein AktivitStssignai eines zweiten, bezogenen Fflhlers 31 
auf einer Leitung 28 aus einem ersten Fensteryergiei- 
cher 29 gesetzt wird, der durch eine Leitung 30 mit dem 
zweiten, bezogenen FQhler 31 verbunden isL Mit "bezoi 
5 gener Fuhler" ist gemeint, daB der zweite FOhler 31 eine 
Beziehung.zu dem Parameter hat, der durch den ersten 
FOhler 10 abgetastet wird, den die hier beschriebene 
Schaltungsanordnung Qberwacht Beispielsweise kann 
der erste Fuhler JO ein Flugzeugkurskreisel und der 
10 zweite bezogene Fuhler 31 ein Gierwende- oder Gier- 
geschwindigkeitskreisel sein; der erste Fuhler 10 kann 
ein Flug- oder LuftgeschwindigkeitsfQhler und der zwei- 
te, bezogene FQhler 31 der Nickeiwendekreisel eines 
Hubschraubers sein; der erste FQhler 10 kann ein Hd- 

15 henmesser sein, in welchem Fail der zweite, bezogene 
FOhler 31 entweder ein Vertikalbeschleunigungsmesser 
Oder ein Steiggeschwindigkeitsanzeiger sein kann; oder 
der erste Fuhler 10 kann entweder ein Nick- oder Rolla- 
gekreisel und der zweite, bezogene Fuhler 31 entspre- 

20 chend entweder ein Nick^ oder ein Roliwendekreisel 
sein. Ebenso k&nnen in Fallen, in denen es sich nicht um 
die Regelung von Hubschraubern odier anderen Flug- 
zeugen handelt, andere Kombinationen von Fuhlern die 
Aktivitatsuberwachung nach der Erfindung benutzen. 

25 Ein Beispiel konnte sein, daD der erste Fuhler 10 ein 
Ofenbrennstoffzufuhranzei'ger ist. Es sei angemerkt, daB 
der erste Fuhler 10 und der zweite, bezogene FQhler fur 
die Erfindung nicht wesentlich sind, mit Ausnahme des. 
Ausmafles, in dem die verschiedenen Grenzen und Ein- 

30 zelheiten solcher FQhler gem^D fachm^nnischem Kon- 
nen und. unter BerQcksichtigung der hier beschriebenen 
Erfindung beiiutzt werden sotlten. 

Wenn der zweite* bezogene FQhler 31 ein Ausgangssi- 
gnal auf der Leitung 30 liefert, von dem der erste Fen- 

35 stervergleicher 29 f eststellt, daB es uber einer gewissen 
MindestgroBe entweder in positiver oder negativer 
Richtung ist, was durch die positive und die negative 
Bezugsspannung festgelegt.wird, die in dem ersten Fen- 
stervergleicher 29 benutzt wird, wird das Signal auf der 

40 Leitung 28 die bistabile Vorrichtung 27 setzen, so daB 
das Signal auf der Leitung 26 den Zeitgeber 20 freigibt, 
um mit der Zettsteuerurig zu beginnen. Wenn der Zeit- 
geber 20 vor seiner Zeitsperre nicht ruckgesetzr wird, 
wird er ein Zeitsperresignal, das hier als NuUfehlersignal 

45 bezeichnet wird, an die Leitung 22 abgeben, das bewir- 
ken wird, daB die erste ODER^Schaltung 14 die bistabile 
Fehleranzeigevorrichtung 13 setzt und das Fehlersignal 
, Qber die Leitung 15 abgibt. Die bistabile Fehleranzeige- 
vorrichtung 13 wird am Anfang durch das RQcksetz-/In- 

50 itialisierungssignal auf der Leitung 16 in den rQckgesetz- 
ten Ziistand gebracht Def Zeitgeber 20 wird durch ein 
Reinitialisierungssignal auf einer Leitung 32 ruckgfe- 
setzt, das durch eine dritte ODER-Schaltung 34 auf das 
RQckseiz-ZInitialisierungssignal auf der Leitung 16 hin 

55 oder auf ein Signal auf einer Leitung 36 hin, welches 
angibt, daB das Flugzeug am Boden ist, oder auf ein 
Aktivit^tssignal auf einer Leitung 38 hin erzeugt wird, 
das durch den FQhleraktivitatsdetektor 24 erzeugt wird. 
Das Reinitiatisierungssighal auf der Leitung 32 wird be- 

60 nutzt, um einen Schaher 40 zu Offnen (beispielsweise um 
das Leiten eines Feldeffekttransistors zu blockieren), 
der benutzt wird, um das Fuhlerausgangssignal Qber 
eine Leitung 42 an eine Folge-ZSpeicherschaltung 44 
anzulegen. AnschlieBend wird die Fdlge-ZSpeicherschal- 

65 tung 44 weiter Qber ihre Ausgangsleitung 46 ein Signal 
abgeben, das die GrOBe des FQhlerausgangssignals auf 
der Leitung 42 in dem Augenblick anzeigt, in welchem 
das Reinitialisierungssignal auf der Leitung 32 erschien. 
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Das Signal auf der Leitung 46 wird mit dem augenblickr 
. lichen Fuhlerausgangssignal auf der Leitung 42 in einem 
Summierpunkt 48 verglichen, welcher ein Signal Ober 
die Differenz zwischen diesen beiden Signalen iiber eine 
Leitung 50 an einen zweiien Fenstervergleicher 52 ab- 5 
gibL Der zweite Fenstervergleicher 52 vergleicht die 
durch das Signal auf der Leitung 50 angezeigte Diffe- 
renz mit Plus- und Minusbezugssignalen. um festzustel- 
len, ob die Differenz eine gewisse vorgewahlte Schwel- 
lenwertsignalgroBe ubersteigt; wenn das der Fall ist, 10 
gibt der zweite Fenstervergleicher 52 das Aktivitatssi- 
gnal auf der Leitung 38 ab. das durch die dritte ODER- 
^Schaliung 34 hindurchgeht und das Reinitialisierungssi- 
gnal auf der Leitung 32 zum Riicksetzen des Zeitgebers 
20 erzeugt. Wenn deshalb das augenbllckliche Aus- 15 
gangssignal des zweiten, bezogenen Fuhlers urn eine 
gewisse vorbestimmte SchwellenwertgroBe von dem 
Ausgangssignal abweichi. das dieser hatte, als der Zeit- 
geber 20 beim nachst vorangehenden Mai ruckgesetzt 
wurde, bevor ihm gestattet wird, die Zeitsperi'e zu errei- 20 
chen, wird es kein NuHfehlersignal auf der Leitung 22 
geben. Wenn aber der zweite Fenstervergleicher 52 kei- 
ne SchwellenwertgroBe der .Anderung in dem Fiihler- 
ausgangssighal erkennt, nachdem der Zeitgeber 20 
ruckgesetzt worden ist, und bevor der Zeitgeber 20 die 25 
Zeitsperre erreicht, dann wird ein Nullfehlersignal auf 
der Leitung 22 erzeugt 

Ein wesentlicher Aspekt dieses Teils der Erfihdung 
besteht darin, daB der erste Fuhler 10 auf ein gewisses 
MindestausmaB an Aktivitat hin getestet werden kann, 30 
dbgleich cr im normaien Betrieb kein nehnenswertes 
Ausgangssignal uber lange. Zeitspahnen zu haben 
braucht, und zwar aufgrund der Tatsache, dafi die Akti- 
vittt des zweiten, bezogenen FOhlers Sl Qberwacht 
wird, um festzustelleni wann der erste Fuhler 10 ein 35 
gewisses meBbares Ausgangssignal haben sollte. Somit 
erm6glicht die Verwendung eines bezogenen. aber nicht 
redundanten Fuhlers zum Feststellen, wann ein anderer 
Fuhler eine Aktivitat haben sollte, die wert ist, iiber- 
wacht zu werden, die Aktivitatsuberwachiing eines Fuh- 40 
lers, um festzustellen, daB er in einem Nullausgangssi- 
gnalziistand oder in einem Zustand keines Ausgangssi- 
gnals (wie beispielsweise dem Ausfall einer Stromver- 
sorgung eines Kreiseis) ausgefallen sein kann. 

Das Ausgangssignal des ersten FQhlers 10 auf der 45 
Leitung 42 wird auBerdem auf eine Anderung mit einer 
ubergroBen Geschwindigkeit hin iiberwacht, die bei- 
spielsweise bei irgendwelchen Endausschlagsausfdllen 
auftreten kann. Wenn beispielsweise der erste Fuhler 10 
aus einem PositionsmeBpotentiometer besteht, das zwi- 50 
schen divergente Potentiate geschaltet ist und einen 
Schleifer hat, der auf das Oberwachte Element hin posi- 
tioniert wird, wird der Ausfall eines dieser Poteiitiale 
bewirken, daB der Schleifer schnell im wesentlichen- das 
andere Potential annimmt. Das wurde dieselbe Auswir- 55 
kung haben, wie wenn der Schleifer augenblicklich aus 
seiner gegenwdrtigen Position in eine der Endstellungen 
des Potentiometers gebracht werden wurde. Der Ober- 
ahderungsgeschwindigkeitsfehlererkennungsteil 12 
wird jedoch auBerdem Anderungsgeschwindigkeiten te- eo 
sten, die einfach iiber denjenigen liegen, welche zulassig 
sind, selbst danh. wenn diese Oberanderungsgeschwin- 
digkeiten nicht die Folge eines Endausschlagsausfalls 
sind 

Das Fuhlerausgangssignal auf der Leitung 42 wird an 65 
einen Differenziercr 56 (bezeichnet mit dem Laplace- 
Operator "S'O angelegt. damit dieser ein Signal auf einer 
Leitung 58 Hefert. das eine Funktion der Anderungsge- 



schwindigkeit des Fiihlerausgangs sign als auf der Lei- 
tung 42 ist Dieses Signal wird an einen Begrenzer 60 
angelegt, bei dem es sich einfach um einen Verstarker 
handeln kanri, der sowohl eine positive als auch eine 
negative Klemmschaltung an seinem Ausgang hat, um 
jein anderungsgeschwindigkeitsbegrenztes Signal auf ei- 
ner Leitung .62 zu liefem. das an einen Integrierer 64 
angelegt wird. Bei dem Integrierer 64 ist es moglich, 
einen Anfangswert auf das Signal auf der Leitung 62 hin 
mit Hilfe des Riicksetz-ZInitialisierungssignals auf der 
Leitung 16 zu setzen, der einem Initialisierungsschalter 
66 innerhalb des Integrierers 64 zugefuhrt wird Wenn 
beispielsweise der Integrierer 64 ein Verstarker niit ho- 
her Verst^kung ist, der eine kapazitive Ruckkopplung 
hat, so kann er dadurch initialisiert werden, daB, auch 
eine Widerstaridsruckkopplung vorgesehen wird, wobei 
eine elektronische Umschaltung (beispielsweise durch 
ein Paar komplementare Transistoren) bewirkt. daB der 
Riickkopplungswiderstand mit dem Eingang verbunden 
wird, wenn das Rucksetz-ZInitialisierungssignal auf der 
Leitung 16 vorhanden ist, oder statt dessen bewirkt, dafi 
die kapazitive Ruckkopplung mit dem Eingang verbun- 
den wird, wenn das RCicksetz-Zlnitialisierungssignal 
nicht auf der Leitung 16 vorhanden ist Immer dann, 
wenn der Betrieb mit Hilfe des Ruckseiz-ZInitialisie- 
rungssignals auf der Leitung 16 wiederhergestellt wird, 
wird daher bewirkt, daB der Anfangsausgahgswert des 
Integrierers 64 auf den Wert des Signals auf der Leitung 
62 ist Wenn aber das Riicksetz-ZInitialisierungssignal 
verschwindet, beginnt der Integrierer 64 zu iniegrieren, 
und zwar so, wie es durch die GroBe und.die PolaritSt 
des Signals auf der Leitung 62 festgelegt ist Das Alls- 
gangssignal des Integrierers 64 auf einer Leitung 70 ist. 
eine toderungsgeschwindigkeitsbegrenzte Darstellung 
des augenblicklichen FQhlerausgangssignals auf der Lei- 
tung 42. Da das Signal in dem Differenzierer 56 zuerst 
differenziert und dann durch den Integrierer 64 inte- 
griert wird, wird es vollstandig wiederhergestellt ausge- 
nonunen in dem AusmaB. in welchem die Anderungsge- 
schwindigkeit des Signals die durch den Begrenzer 60 
festgelegten Grenzen iibcrschrittten hat Wenn daher 
das Signal auf der Leitung 70 von dem Signal auf der 
Ijeitung 42 abweicht,'50 wird d&s der Fall ^eifi,-w«ii das 
Signal auf der Leitung 42 sich mit einer Geschwindigkeit 
andert, flie die vorbestimmte Anderungsg^schwindig- 
keit ubersteigt die durch den Begrenzer 60 fur die zu 
erfiillende besondere Funktion festgelegt worden ist 
Wenn beispielsweise der erste FQhler 10 ein Flugzeug- 
kurskreisel ist, k5nnte sich der Kurs des Flugzeuges mit 
einer Geschwindigkeit in der GrdBenordnung von 90° 
pro Sekunde ^ndem. Wenn sie sich schneller andert als 
niit Z. B. einer solchen vorbesdmmten zulHssigen Ge- 
schwindigkeit, so wQrde das Signal auf der Leitung 58 
eine solche GrdBe haben. daB es durch den Begrenzer 
60 begrenzt wiirde, und deshalb wiirde das Ausgangssi- 
gnal des Integrierers 64 augenblicklich von der GroBe 
des Signals auf der Leitung 42 abweichen. Diese Diffe- 
renz wird durch einen Suminierpunkt 72 erkahnt, der 
eiri Signal liefert, das die Differenz auf einer Leitung 74 
einem driften Fenstervergleicher 76 zufiihrt, der die 
GrdBe dieses Signals mit positiven und negativen Be- 
zugsspannungen vergleicht die eine vorbestimmte 
Schwellenwertdifferenz. angeben. welche so festgelegt 
worden ist, daB. sie einen Uberanderungsgeschwindig- 
keitsfehler angibt Wenn die Anderungsgeschwindigkeit 
des FQhlerausgangssignals auf der Leitung 42 zu groB 
ist wird das Signal auf der Leitung.74 Seine Differenz ■ 
anzeigen, die bewirkt daB der dritte Festervergleicher 
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76 ein Oberinderungsgeschwindigkeitsfehlersignal auf unten ausfQhrlicher beschrieben sind) gepnQft, um fest- 

eiher Leitung 78 liefeix das durch die erste ODER- zustellen, ob die besondere Funktion, die durch den 

Schaltung 14 hindurchgeht. um die bistabile Fehleran- FUhler gesteuert wird, welcher aktivitauuberwacht 

zeigevorrichtung 13 zu setzen und das Fehlersignal auf wird, f ruber bereits als ausgef alien ermittelt worden ist 

der Leitung 15 zu crzeugen. 5 (entweder infolge dieses Fiihleris oder infolge eines sich 

Bei Bedarf kann das ^nderungsgeschwindigkeitsbe- auf die Funktion beziehenden anderen Fuhlers) und ob 

grenzte Ausgangssignal auf der Leitung 70 vorzugswei- der Pilot entschieden hat oder nicht. sie zu Qbersteuern* 

se als ein Ausgangssignal des crsten Fdhlers 10 zum um zu sehen, ob die Funktion wiederhergestellt werden 

Steuem der Funktion einer Flugregelanlage benutzt kann. Dadurch wird einfach vermieden, daO die Routine 

werdea Das ergibt den weiteren Vbrteil, daB, wenn bei lo ausgefiihrt wird, wenn die Routine aufgrund der Ab- 

dem ersten FQhler 10 ein Endausschlagsausfall auftritt. schaltung der besonderen Funktion, auf die sich der 

so dafi es eine abrupte Anderung in der Gr5Be des FOhler bezieht, unndtig ist Wenn die Funktion riicht 

Signals auf der Leitung 42 gibt, das Signal auf der Lei:. ausgefallen war oder wenn der Pilot den Ausfall der 

' tung 70 nicht ebenso abrupt sein wird, sondem sich nur Funktion iibersteuert, wird ein negatives Ergebnis des 

mit der Anderungsgeschwindigkeit Sndem wird, die is Tests 82 zii eincm Test 83 fOhren, in welchem ermittelt 

durch die GroBe der Grenze in dem Begrenzer 60 fest- wird. ob sich das Flugzeug am Boden befindet Das 

gelegt ist. Wahrend der Zeitspanne, die benotigt wird, gleicht dem Flugzeug-am-Boden-Signal auf der Leitung 

. um den Endausschlagsfehler abzufiihlen und auf diesen 36 von Fig. 1. Wenn das Flugzeug am Boden ist, dann 
zu reagieren, wird deshalb die Fiinktion. die durch den wird die Aktivitatsuberwachung rOckgesetzt oder in im 
ersteri Fuhler 10 gesteuert wird, nicht annahernd so un- 26 folgenden beschriebener Weise wieder eingeleitet 
terbrochen, wie wenn das anderungsgeschwindigkeits- Wenn aber das Flugzeug nicht am Boden ist, wird eiri 
begrenzte Ausgangssignal auf der Leitung 70 zum Steu- * negatives Ergebnis aus dem Test 83 zu einem Test 81 
ern dieser Funktion benutzt wurde. Das ist der Verwen- fuhren, in welchem festgestellt wird, ob der Aktivitats* 
dung von Signalen gleich'wertig, die-in einigen Fallen test des bezogenen FQhlers friiher bereits zum Erfolg 
anstiegsgeschwindigkeitsbegrenzt werden, um sicher- 25 gefuhri hat. Wenn dem so ist, dann wird der Test 88 (im 
zustellen. daB sie zulassige Werie nicht uberschreiten. folgenden naher beschrieben) ausgefuhrt Wenn nicht, 
Die Art der Implemeniierung der in Fig. l .dargestell- wird das negative Ergebnis des Tests 81 zu einem Test 
ten Schaltungsanordnung kann bei Verwendung ver- 84 fuhren, in welchem die GrdBe des Ausgangssignals 
schiedenerbekannterTechniken und Einrichtungen sich des bezogenen Fiihlers mit einer BezugsgroBe vergli- 
betrachtlich andern. Beispielsweise kann die Funktion 30 chen wird, und zwar auf dieselbe Weise, auf die der erste 
des Zeitgebers 20 mit Hilfe eines Integrators implemen- Fenstervergleicher 29 in. Fig. 1 feststellt, ob der zweite, 
tiert. werden, der auf eine konstante Eingangsspannung bezogene FQhler 31 ein Ausgangssignal auf einer Lei- 
ansprichtr wenn das Spannungseingangssignal an ihm ' tung 30 hat, das grdBer als ein vorbestimmter Scbwel- 
anliegt, wobei diese Spannung nur auf das SchlieBen lenwert ist Wenn der bezogene FOhler ein Ausgangssi- 
eines Schalters hin angelegt wird, wenn das Aktivitatssi- 35 gnal ausreichender GroBe liefert, wird ein bejahendes 
gnal des zweiten, bezogenen Fuhlers 31 auf der Leitung Ergebnis des Tests 84 zu einem Schritt 85 filhren, in 
28 vorhanden ist Die Zeitsperre des Zeitgebers 20 wird welchem ein Zlahler fflr die Aktivitat des bezogenen 
in einem solchen Fall durch die Tatsache festgelegt, daB Fuhlers von einem voreingestellten Bezugswert aus de- 
das Integratorausgangssignal eine iiber der Zeit linear krementiert wird. Der Zahler ist ein "Durchlaufzahler" 
ansteigende Spannung ist Wenn der Integrierer 64 ei- 40 Oblicher Art Wenn beispielsweise dieser Zahler am An- 
nen Ausgangswert von einem Volt pro Sekunde fUr ein fang auf fOnf eingestellt wird, wird jedesmal dann, wenn 
Eingangssignai von einem Volt hat, dann konnte ein der Test 84 ein bejahendes Ergebnis liefert, der Zahler 
Signal von zehn Volt davon subtrahiert werden und das dekrementiert,-bis er null erreicht Dann wirdrin einem 
Ergebnis k5nnte getestet werden, um festzustellen, ob Test 86 der Zahler geprQft, um festzustellen, ob sein 
es negativ ist, indem es einfach durch einen einseitigen 45 Zahlerstand gleich null ist; wenn das der Fall ist, dann 
Oder unilateralen Verstarker hindurchgeleitet wird. wird die AktivitatsOberwachung des bewuBten Fuhlers 
Wenn es negativ ware, wUrde da$ bedeuten, daB der (wie des ersten FQhlers 10 in Fig. 1) auf NuUfehler hin 
Zeitgeber 20 die Zeitsperre erreicht hat Die Vergleichie, durchgef Qhrt Wenn dem aber nicht so ist, dann wird der 
die durch die Fenstervergleicher 29, 52, 76 ausgef Uhrt Qbrige Teil der NuUabfiihlung vorlaufig umgangen. Das 
werden. kSnnten statt dessen dadurch ausgefiihrt wer- 50 gewahrleistet, daB der bezogene Fuhler eine gewisse 
den, daB der Absolutwert des zu testenden Signals ge- Aktivitat flber fQnf Betriebszyklen (oder jede andere 
nommen wird, ein Bezugswert von ihm abgezogen wird ^ Anzahl von Betriebszyklen, die als BezugsgrdBe benutit 
und das Ergebnis durch eine Schaltung hindurchgeleitet ' wird) angezeigt hat Das gibt eine gewisse GewMhr da- 
wird, uni die Polaritat des Ergebnisses zu bestimmen. fur. daB der sich iiti Test befindliche Fuhler (wie der 
Die Absolutwertschaltung kann einfach ein Paar kom- 55 erste FQhler 10) eine gewisse Aktivitat hat und deshalb 
plementare Verstarker enthalten, von denenjeder einen auf einen Nullfehler hin getestet werden- kann. Daher 
einseitigen Ausgang hat, so daB der eine oder der ande- wird ein bejahendes Ergebnis des Tests 86 den FQhler- 
re Verstarker ein Ausgangssignal mit singularer Folari- test in anschlieBenden Durchlaiifen Qber den Schritt 81 
tat in Abhangigkeit von der Polaritat des Eingangssi- (Zahler »0) freigeben. 

gnals llefern wird, Der Begrenzer 60 kann einfach einen eo Wenn die Tests und die Schritte 81 bis 86 anzeigen, 

Verstarker enthalten, dessen Ausgang spwohl in der ne- daB die Aktivitat des ersten FOhlers 10 Oberwacht wer- 

gativen als auch in der positiven Richtung geklemmt ist den kann, dann wird in einem Test OS festgestellt, ob der 

Fig; 2 zeigt ein vereinfachtes exemplarisches logi- gegenwartige Wert des FQhlerausgangssignals (FOH- 

sches FluBdiagramm, das den Nullfehlererkennungsteil LER N) inncrhalb einer vorgeschriebenen Toleranz des 

ahiilich dem Teil 11 in Fig- 1 entspricht Die Routine 65 vorangehenden Wertes des FUhlerausgangssignals 

wird Qber einen Nullfehlereingangspunkt 80 erreicht (FOhLER M) liegt Wenn dem so ist, wird ein bejahen- 

und in einem ersten Test 82 werden ein Funktionsaus- des Ergebnis des Tests 88 bewirken, daB in einem Schritt 

fall-Flag sowie.ein Pilotubersteuerungssignal (die wciter 89 ein Fuhlernullzahler inkrementiert wird. Bei diesem 
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handelt es sich ebenfalls um einen Durchlaufzahler ubli- 
cher Art. der gewShrleistet, daB ein Fehler mehrere Zy- 
klen nacheinander abgefahit worden ist. bevor der Feh- 
ler erkannt wird. Dadurch werden lastige Fehleranzei- 
gen infolge von Fehlzustanden, die schnell voruberge- 
hen, vermieden. Dann wird die Einstellung des Nullzah- 
lers in einem Schritt 90 getestet. um festzustellen, ob er 
auf einen Zahlerstand erhoht worden ist, der hoher ist 
als eine voreingestellte Durchlauf zahl (wie beispielswei- 
se in der GrSflenordriung von drei odcr fQnf Zyklen). 
Wenn mehrmals null nacheinander festgestellt worden 
ist, so daB die Einstellung des FQhlernuUzahlers die vor- 
bestimmte Durchlaufzahl Obersteigt, wird ein bejahen- 
des Ergebnis des Testi 90 zu Schritten 91 bis 94 fuhren, 
in welchen: eine NullfeKlei^codegruppe gesetzt wird; die 
Nullfehlercodegruppe in einem nichtfluchtigeri Teil. ei- 
nes Speichers gespeichert wird; die Tatsache, daB die 
bezogene Funktion ausgefallen ist, registriert wird, in- 
dem ein Funktionsausfall-Flag gesetzt wird; und die Tat- 
sache des Funktionsausfalls dem Piloten angezeigt wird 
Mit "Funktionsausfall" ist. beispielsweise. die Kurshalte- 
funktion der Flugregelanlage gemeint. die benutzt wird, 
wenn das Flugzeug auf Autopilot geschaltet ist Diese 
Funktion geht verloren, wenn an dem Kurskreisel fest- 
gestellt wird, daB er einen Nullfehler hat- Der Pilot ist 
interessiert daran, ob er die Funktion zur Verfiigung hat 
Oder nicht, statt daran interessiert zu sein, welches be- 
sondere Bauteil ausgefallen ist. Das Wartungspersonal 
ist jedoch daran interessiert, welches besondere Bauteil 
ausgefallen ist, und deshalb wird die Nullfehlercode* 
gruppe fur den besonderen Fiihler gesetzt und in dem 
nichtfluchtigen Speicher gespeichert, um sicherzustel- 
len, daB dieser Faktor dem Wartungspersonal bekannt 
wird, wenn das Flugzeug zu Reparaturzwecken zuruck- 
kehrt Das Funktionsausfall-Flag, das in dem Schritt 93 
gesetzt wird. ist das Flag, das in dem Test 82 getestet 
wird, wie dben beschrieben. Das Furiktionsausf all- Flag, 
das sich auf den besonderen FQhler bezieht, kann tat- 
s^chlich als Ergebnis eines Fehlers in einem bezogenen 
Oder anderen Teil des Systems gesetzt worden sein. So 
konhte die Kurshaltefunktion wegen des Ausfalls einer 
Stromversorgung verlorengehen. die in dem Kurshalte- 
teil der Flugregelanlage benytzt wirdrDas wurde eben- 
falls als das gleiche Funktionsausfall-Flag wie das, das in 
dem Schritt 93 gesetzt und in dem Test 82 getestet 
werden kann, gesetzt werden. 

In dem Schritt 95 wird der Fuhlernullzahler (inkre- 
mentiert in dem Schritt 89 und getestet in dem Test 90) 
ruckgesetzt^ so daB im AnschluB an diesen Ausfall er 
keihen ZShlerstand wahrend der gesamten Anzahl an 
Durchlaufzyklen haben wird, bevor der Fehler ange- 
zeigt wird, und in dem Schritt 96 wird der Zahler fur die 
Aktivitat des bezogenen Fuhlers auf seinen Bezugswert 
ruckgesctzt, so daB er ab dem vollen Bezugswert (bei- 
spielsweise fiinf Zyklen) zu dekrementieren- beginnen 
wird, nachdem der Betrieb im AnschluB an den gegen- 
wartigen Fehler. wiederhergestellt ist Daran anschlie- 
Bend wird diese Routine die Ruckkehr zu anderen Tei- 
Icn eines Computerprogramms uber einen ROckkehr- 
punkt 97 bewirken. 

Zu Zeiten, wahrend deneh keine Aktivitat in der be- 
zogenen Fluglage des Flugzeuges (oder einer anderen 
bezogenen Funktion in Implementierungen der Erfin- 
dung, die nicht in einem Flugzeug vorgesehcn sind) gibt, 
wie wenn beispielsweise das Flugzeug am Boden ist, was 
im Test 83 angezeigt wird, oder wenn- der bezogene 
Ftihler ein unsignifikantes Ausgangssignal liefert, das in 
dem Test 84 ermittelt wird, wird der Zahler fur die Akti- 



vitat des bezogenen Fuhlers in einem Schritt 98 auf den 
Bezugswert eingestellt Selbst dann, wenn es eine gewis^ 
3e Aktivitat aus dem bezogenen FOhler gibt, so daB der 
Zahler einmal oder zweimal gezahlt haben kann, wird 
daher in jedem Zyklus, in welchem die Aktivitat unter 
die verlangte GroBe abfailt, bevor die Bezugszahlen von 
Zyklen durchlaufen sind, der Aktivitatszahler auf den 
Bezugswert ruckgesetzt, so daB die Zahlung anschlie- 
Bend emeut beginnen muB. AuBerdem wird in einem 
solchen Fall der ubrige Teil des Programms von dem 
Schritt 85 bis zum Schritt 96 der Routine von Fig, 2 
umgangen. Der Fuhlernullzahler wird aber in einem 
Schritt 99 ruckgesetzt, und der Fuhlerausgangswert 
wird in einem Schritt 100 auf den neuesten Stand ge- 
bracht 

In Fallen, in denen der Zahler fur die Aktivitat des 
bezogenen FQhleris anzeigt, daB der bezogene FQhler 
eine signifikante Aktivitat Ober einer geforderten An- 
zahl von Zyklen hatte, so daB der Ftihler aktivitatsuber- 
wacht werden kann, um ihn auf einen Nullfehler hin zu 
testen, wird, wenn der Test 88 negativ ausgeht (weil zum 
Beispiel der FQhler ausreichend akiiv ist), aufgrund der 
Tatsache, daB der neue Wert des Fuhlerausgangssignals 
von dem alten Wert des Fuhlerausgangssignals um 
mehr als die vorgeschriebene Toleranz verschieden ist, 
der ubrige Teil des. NuUfehlerprogramms (Schritte 89 
bis 96) umgangen, der Zahler fQr die Aktivitat des bezo- 
genen Fuhlers wird auf den Bezugswert in dem .Schrjtt 

98 ruckgesetzt, der Fuhlernullzahler wird in dem Schritt 

99 ruckgesetzt, und der Fuhlerausgangswert wird in 
dem Schritt 100 auf den neuesten Stand gebracht, wie 
oben beschrieben. In jedem Fall wird jedoch, wenn eine 
Null in dem Schritt 88 festgestellt wird, weil der neue 
Wert des Fuhlerausgangssignals innerhalb der Toleranz 
des alten Wertes des Fuhlerausgangssignals liegt, der 
FQhlemulizahler in dem Schritt 89 inkrementiert und in 
dem Schritt 90 getestet. Wahrend der ersten Ausfaile 
wird der Test 90 negativ sein, 5veil mehrere Nullen nach- 
einander abgefuhit werden mQssen, bevor sie als ein 
Fehler erkannt werden, wie oben beschrieben. In einem 
solchen Fall erfolgt kein Auf-den-neuesten-Stand-brin- 
gen, und die Routine wird an dem Ruckkehrpunkt 97 
verlassen. - 

Wenn die NuUfehlererkennung auf digitale Weise, 
wie sie in Fig. 2 angegeben ist, mit der Analoghardware 
verglichen wird, die in Fig. 1 gezeigt ist, so ist der Test 
83 der Rucksetzaktivitat des Flugzeug-am-Boden-Si-' 
gnals auf der Leitung 36 (Fig. 1) aquivalent Der Test 84 
ist dem ersten Fenstervefgleicher 29 (Fig. 1) aquivalent 
Der Test 88 ist dem zweiten Fenstervergleicher 52 
(Fig. 1) aquivalent, und der Schritt 89 sowie der Test 90 
sind der Zeitsperre des Zeitgebers 20 (Fig. 1) aquivalent 
Das Reininitialisierungssignal auf der Leitung 32 von 
Fig. 1 findet sein Gegenstuck in den Schritten 98 und 99 
55 Xsowie in den Schritten 95 und 96) von Fig. 2. 

GemiB Fig. 3 kann der Oberanderungsgeschwindig- 
keitsfehlererkennungsteil auf digitale Weise durch ein 
Unterprogramm ausgefQhrt werden. daB uber einen 
Oberanderungsgeschwindigkeitsfehler-Eintrittspunkt 
101 erreicht wird. In dem ersten Test 102 wird einfach 
ermittelt, ob das Unterprogramm ausgefQhrt werden . 
sollte Oder nicht, und zwar in derselben Weise wie in 
dem Test 82 in Fig. 2. Wenn der Test 102 negativ ist, 
wird in einem Test 103 festgestellt, ob die Initialisiening 
der Integrationsfunktion ausgefflhn' worden ist oder 
ausgefQhrt werden sollte.* Das ist dem Anlegen des 
RQcksetz-ZInitialisierungssignals an die Leitung 16 zum 
Initialisieren der Einstellung des Integrierers 64 in Fig. 1 
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aquivalent Werin eine Initialisierung nicht vorher be- 
,reits stattgefunden hat, wird in einem Schritt 104 der 
'Wert des FOhlerausgangssignals des letzten Zyklus auf 
deh neuesten Stand, d.h. auf den gegenwartigen Wert 
des Ftihlerausgangssignals gebracht, in einem Schritt 
105 wird ein Anfangswert in dem Integrierer (ein.Regi- 
- ster oder ein Speicherplatz, der eine Zahl tragt, die auf 
im folgenden beschriebehe Weise integriert wird) auf 
den gegenwartigen Wert des Fiihlerausgangssignals ge- 
bracht, und in einem Schritt lOS wird das Ober^nde- 
rungsgeschwindigkeitsinitialisierungs-Flag gesetzt, wel- 
ches angibu daB die Initialisierung stattgefunden hat, 
und welches in dem anschlie.Benden Durchlauf durch 
das Unterprogramm durch deh Test 103 abgefragt wird, 
um zu veranlassen, daB die Schritte 104 bis 106'umgan- 
genwerden.. 

In Fig. 3 wird in einem Schritt 107 die Differenz zwi- 
schen dem gegenwartigen Wert des Fiihlerausgangssi- 
gnals und dem vorangehenden Wert des Fuhleraus- 
gangssighals ermitteh, um die Differenz zwischen ihnen. 
festzustellen. Der Schritt 107 ist dem Differenzierer 5jS 
in Fig. 1 Equivalent. Dann wird in zwei Tests 108, 109i 
fesigestellt, ob diese Differenz innerhalb der Grenzen 
liegt, und, wenn dem nicht so ist, wird sie auf einen 
geeigneten positiven oder negativen Grenzwert in ent- 
sprechenden Schritten 110, 111 eingestellt, die dem Be- 
grenzer i60 in Fig. 1 Equivalent sind. In einem Schritt 112 
wird die Integration ausgefuhrt, indem zu dem Integral- 
wert, der bei der Initialisierung in dem Schritt 105 gebil- 
det wird; die Differenz D addiert wird, die in dem Schritt 
107 gefunden wird. Wenn die Differenz D kleiner als 
beide Grenzwerte war, so daB beide Tests 108 und 109 
negativ wareh, und wenn dieser Wert nicht entweder 
auf den positiven Grenzwert oder auf den negativen 
Grenzwert geklemmt wurde, sollte der zu dem Integral- 
wert addierte Wert d gleich dem gegenwartigen Wert 
des Fiihlerausgangssignals sein. Wenn dem nicht so ist, 
wird die Differenz dazwischen (X), die in einem Schritt 
113 gefunden wird, groBer als ein Bezugswert sein (der 
in Abhangigkeil von der besonderen Funktion vorein- 
gestellt wird), weicher in einem Test 114 bestimmt wird. 
Das helBt, wenn die Diffferenz in dem gegenwartigen 
und laufenden Wert einen Grenzwert iibersteigt, so be- 
deutet das, daO das Fuhierausgangssignal sich mit einer 
zu hohen Geschwindigkeit andert Da die Anderungsge- 
schwindigkeit zu hoch ist, wird die Differenz (D) be- 
grehzt, so daB sie, wenn sie zu dem Integralwert addiert 
wird, hichi gleich dem gegenwartigen Wert ist Es kann 
jedoch sein, daB sie eine Bezugsdifferenz, die in dem 
Test 114 benutzt wird, nicht ausreichend ilbersteigt, um 
einen Fehler anzuzeigen. Bei anschlieBenden Durchlftu* 
fen wird aber, da der Integralwert bereits zurilckgefal- 
len ist, wenn diese hohe Anderungsgeschwindigkeit ani- 
halt, der Integralwert noch weiter zuriickfallen, wenn 
unzureichende Werte von D zu ihm addiert werden. So 
wird schlieBIich die Differenz in dem gegenwartigen 
FOhlerweri gegenQber dem Integralwert ein bejahendes 
Ergebnis des Tests 114 ergeben. Wenn das der Fall ist, 
wird ein OberschuBzahler in einem Schritt .115 inkre- 
nientiert (das ist dieselbe Form eines Durchlaufzahlers, 
der mehrere Fehlei- hacheinander erfordertj bevor sie 
erkannt werden), und der OberschuBzahler wird in ei- 
nem Test 116 getestet, um festzustellen, ob er die vorge- 
wahlte Durchlaufzahl uberschreitet Wenn dem so ist, 
dann wird der Fehler erkannt.und in den Schritten 117 
bis 122 werden Buchhaltun^soperationen ausgefuhrt In 
dem Schritt 117 wird die Uberanderungsgeschwindig- 
keitsfehlercodegruppe fur den besonderen Fuhler, der 



Qberwacht wird. gesetzt und diese Codegruppe kann in 
einem nichtfluchtigen Speicher durch den Schritt 118 
gesetzt werden. In dem Schritt 119 wird das Funktions- 
ausfall-Flag gesetzt (das ist das gleiche Funktionsaus- 

5 fall-Flag, das in dem Schritt 93 in Fig. 2 gesetzt. werden- 
kann). Und die Tatsache. daB die Funktion ausgefallen 
ist kann dem Piloten in dem Schritt 120 angezeigt wer- 
den (der dem Schritt 94 in Fig. 2 entspricht). Dann wird 
der OberschuBzahler in dem Schritt 121 riickgesetzt 

10 und das Oberanderungsgeschwindigkeitsinitialisie- 
rungs-Flag wird in dem Schritt 122 rOckgesetzt so daB- 
bei folgenden Durchlaufen durch dieses Unterpro- • 
gramm (nachdem das Funktionsausfsdl-Flag nicht mehr 

gesetzt ist oder in dem Fall, in welchem der Pilot eine 
bersteuerungstaste driickt so daB der Test 102 nega- 
tiv ist), das Unterpfogramm wieder eingeleitet wird, und 
zwar auf dieselbe Weise, auf die das Riicksetz-ZInitiali- 
sierungssigiial auf der Leitung 16 wieder die Oberande- 
rungsgeschwindigkeitsfehlererkennung in Fig. 1 einlei-, 
20 tet 

Falls in dem Test 114 festgestellt wird, daB die Diffe^ 
renz zwischen dem gegenwartigen Wert und dem inte- 
grierten Wert nicht den Bezugswert iibersteigt wird ein 
negatives Ergjebnis des Tests 114 bewirken, daB der 

25 OberschuBzahler in einem Schritt 123 rOckgesetzt wird 
und daB der Wert des letzten Zyklus des Fiihleraus- 
gangssignals in einem Schritt 124 auf den neuesten 
Stand gebracht wird. Es sei aber beachtet daB, nachdem 
Ausfaile erkannt worden sind, so. daB der Durchlaufzah- 

30 ler mehrmals inkrementiert.wird, der Wert des . letzten 
Zyklus des FQhlerausgangssignals nicht auf den neue- . 
sten Stand gebracht wird,.weil der Schritt 124 umgan- 
gen wird. Das ist notwendig, wenn hohe Anderungsge- 
schwindigkeiten erkannt werden, weil, wenn der Fiihler 

35 in einem Endausschlagszustand ausgefallen ist und die- 
ser Endausschlagszustand auf den neuesten Stand, d. h. 
auf den alten Wert gebracht wurde, dann in alien nach- 
folgenden Zyklen der neue Wert und der alte Wert des 
Ausgangssighals im wesentlichen gleich sein wOrden, so 

40 daB der Durchiaufzahler nicht inkrementiert wOrde. Der 
Fehler kann also nur fQr mehrere Zyklen Oberwacht 
werdeni wenn der alte Wert beibehalten wird, so daB 
mehrere Zyklen eines *neuen Endausschlagswertes mit 
ihm verglichen werden und den notwendigen Ober- 

45 schuB gegeniiber dem Bezugswert in dem Test 114 lie- 
fern. Entweder der Schritt 124 (bei Nichtvorhandensein 
irgendeines Ausfalls), Test 1 16 (nachdem wenigstens ein 
Fehler abgefuhlt worden ist), oder der Schritt 122 (nach- 
dem eine Durchlaufzahl von Fehlem abgefuhlt worden 

50 ist) wird Ober einen Riickkehrpunkt 126 zu anderen Tei- 
len des Programms fOhren. 

Bei jeder Art von Verwendung der Erfindung, bei der 
ein anderungsgeschwindigkeitsbegrenztes Signal (wie 
. beispielsweise das Signal auf der Leitung 70 in Fig. 1) 

55 bereits als SicherheitsmaBnahme geliefert wird, brau- 
chen die Einrichtuiigen 56, 60 und 66 nicht verwendet zu 
werden^ sondern dieses bereits anderungsgeschwindig- 
keitsbegrenzte Signal kann direkt an den Summier* 
punkt 72 angelegt und als eine Quelle von Daten, die in 

60 Fig. 3 angegeben ist als der Integrierwert addiert mit 
der Differenz in dem Schritt fl2 benutzt werden. wobei 
dieses Signal zur Subtraktion in dem Schritt 113 direkt 
. angelegt wird. 

Die Erfindung ist in Verbindung mit Flugregelanlagen 

65 eines Hubschraubers oder anderen Flugzeuges be- 
schrieben und dargestellt worden. Die hier beschriebe- 
hen Prihzipien gelten jedoch auch fflr andere Anlagen. 
und zwar in Fallen, in welchen die Inaktivitlt oder die 
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Oberaktivitat eines FQhIers gemtfi der Erfindung Qber- 
wacht werden kann, um Fehler in dem Fuhler fest2ustel- 
len, und insbesondere, wenn es einen bezogenen Fuhler 
gibt, der. gestattet, Pcrioden zu identifizieren, in denen 
Nullen vorhandeo sein soUten, und der dadurch cine .5 
Nullfehlererkennung sowie eine Ober^nderungsge- 
schwindigkeitsfehlererkennung gem§& der Ertindi|ng . 
gestattet. Sclbstverstandlich wird die Analog* oder die 
DigitarausfOhrungsform in Abhangigkeit davon gc- 
Wahlt, ob die Digitalverarbeitungsmoglichkeit anson- 10 
steh in irgendeinei- Aniage zur Verfugung steht, in der 
die Erfindung benutzt werden soli. Per Typ der Digital- 
anlage, die zur Verfugung steht, ist irrelevant, da die 
auszufOhrenden Funktionen bei der Implementierung 
der Erfindung einfach und unkompliziert sind und sbgar 15 
durch die kleinsten Mikrocomputer erfullt werden kon- 
nen. Deshalb ist die Digitalausfuhrungsform, wie sie mit 
Bezug auf die Fig. 2 und 3 oben beschrieben worden ist, 
implementierbar. indem gewohnliche Programmier- 
techniken angewandt werden, die praktisch fiir jeden 20 
Typ von Digitaiverarbeitungsanlage geeignet sind. Bei 
den beschriebenen Ausfuhrungsformen werden, auf die 
StgnalgroBe ansprechende Techniken benutzt. die Er- 
findung kann aber auch dort angewandt werden, wo ein 
bestimmter Parameter in einem Signal durch eine Fre- 25 
quenz. eine Impulsbreite oder andere Variable darge- 
stelltist 

PatentansprOche 

30 

1. Aktivitatsuberwachtes Fiihlersystem mit 
einem ersten Fuhler (10). der ein erstes Ausgangssi- 
gnal (42) liefert, das einem ersten Parameter ent- 
. spricht, 

einem zweiten FOhler (31), der ein zweites Aust 35 
gangssignal (30) liefert, das einem zweiten Parame- . 
ter entspricht, der auf den ersten Parameter bezo- 
genist,und 

einer Signalverarbeiiungseinrichtung (11, 12), wel- 
Cher die beiden Ausgangssignale (30, 42) des ersten 40 
und zweiten Fuhlers (10 bzw. 31) zufuhrbar sind 
undwelche 

einen ersten,-einen - zweiten und- einen dritten 
Schwellenwert fur die beiden Ausgangssignale (30, 
42) des ersten und zweiten FQhIers (10, 31) festlegt 45 
und in bezug auf das zweite Ausgangssignal (30) 
des zweiten Fuhlers (31) . 

— ein erstes Obcrschreitungssignal (28) liefert, 
welches angibt, dafl der zweite Parameter den 

. ersten Schwellenwert Qberschreitet, 50 

— ein zweites Oberschreitungssignal (38) lie- 
fert, welches angibt, daB eine Anderung in der 

. GrdBe des ersten Ausgangssignals (42) den 
zweiten Schwellenwert Qberschreitet. 
r- ein Nullfehlersignal (22) nach einem vorbc- 55 
stimmten Zeitintervall bei Vorhandensein des 
ersten Oberschreitungssignals (28) und gleich- 
zeitigem Nichtvorhandcnsein des zweiten 
Oberschreitungssignals (38) in diesem vorbe- 
stimmten Zeitintervall liefert und in bezug auf so 
das erste Ausgangssignal (42) des ersten FQh- 
Iers (10) 

— ein ^nderungsgeschwindigkeitsbegrenztes 
Signal (70), welches den ersten Parameter be- 
grenzt hinsichtlich seiner Anderungsgeschwin- 65 
digkeit angibt, liefert und nach Vergleich des 
anderungsgeschwindigkeiisbegrenzten Si- 
gnals (70) mit dem ersten Ausgangssignal (42) 
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ein Signal (78) abgibt, welches eine unzulassige 
Anderungsgeschwindigkeit angibt, falls sich 
das anderungsgeschwindigkeitsbegrenzte Si- 
gnal (70) von dem ersten Ausgangssignal (42) 
um einen Wert unterscheidet, der groBer als 
der dritte Schwellenwert ist. 
2. AktivitiuQberwachtes FQhlersystem nach Ati- 
spriich 1, dadurch gekennzeichnet, daB der zweite 
Parameter der Anderungsgeschwindigkeit des er- 
sten Parameters entspripht 
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